SSO 管理¶
Guanceは、SAML 2.0 および OIDC/OAuth 2.0 プロトコルに基づくシングルサインオン（SSO）をサポートしています。企業はローカルのアイデンティティプロバイダ（IdP）で従業員アカウントを一元管理でき、Guanceと IdP の間でユーザー情報を同期する必要はありません。従業員は会社のメールアドレスで Guance にログインし、事前に設定された権限に従ってシステムにアクセスできます。
概念¶
| 用語 | 説明 |
|---|---|
| IdP（アイデンティティプロバイダ） | 企業内部の統合認証システム。Azure AD、Okta、OneAuth、Keycloak、DingTalk、WeCom、自社構築 LDAP など |
| SP（サービスプロバイダ） | Guanceプラットフォーム。サービス受信側 |
| ロールマッピング | IdP が返すユーザー属性（部門、役職、ユーザーグループなど）に基づき、Guance のロール権限を自動割り当て |
| Entity ID | SAML プロトコルにおいて、Guance が SP として持つ一意識別子 |
| ACS URL | Assertion Consumer Service URL。SAML ログイン成功後、IdP が Guance にアサーションを送信するアドレス |
機能¶
- IdP サポート：1 ワークスペースにつき最大 10 個のアイデンティティプロバイダを設定可能。企業内部の異なる認証方式に対応します。
- クロスワークスペースでのシングルサインオン：同一 IdP で認証されたユーザーは、ログインセッションの有効期間内に、他の認可済みワークスペースへ再認証なしで移動できます。
- 動的権限：ロールマッピングにより、ユーザー属性に基づいたきめ細かな権限制御を実現します。
- 自動アカウント紐付け：SSO 初回ログイン時に、メールアドレスが既存の Guance アカウントと一致する場合、自動的に紐付けられ、過去のデータが保持されます。
クイックスタート¶
設定入口¶
管理 > メンバー管理 > SSO 管理 > ユーザー SSO に進みます。
プロトコルタイプの選択¶
| プロトコル | ユースケース | 設定 |
|---|---|---|
| SAML 2.0 | Azure AD、ADFS、Okta、OneAuth、Keycloak などの標準 SAML サービスをすでに利用している企業 | SAML 設定ガイドを見る |
| OIDC/OAuth 2.0 | 自社構築の認証システムやモダンなクラウド IdP を利用している企業 | OIDC 設定ガイドを見る |
ロールマッピング¶
ユーザー属性に基づく動的な権限割り当てを実現します。
ロールマッピングの設定を開始する方法 を参照してください。
SSO 設定の管理¶
リスト操作¶
アイデンティティプロバイダを追加した後、以下の操作で SSO 設定を管理できます。
| 操作 | 説明 | リスク注意事項 |
|---|---|---|
| 編集 | 設定情報の変更、有効/無効の切り替え | 既存の SSO メンバーのログイン体験に影響するため、業務時間外の操作を推奨します |
| 削除 | 該当 IdP を削除 | 該当メンバーはこの方法でログインできなくなります。事前に通知し、メンバーが他のログイン方法を確保していることを確認してください |
| エクスポート | JSON ファイルとしてエクスポート | ファイル名は現在のワークスペース内の他の IdP と重複しないようにしてください。他のワークスペースに迅速にコピーするのに便利です |
| インポート | JSON ファイルからすばやく作成 | フォーマット仕様に準拠する必要があります。テンプレートとして事前にエクスポートしたものを使用することを推奨します |
SSO メンバーの表示¶
- メンバー数：SSO でログインした全メンバーの総数を表示します。
- メンバーリスト：メンバー数をクリックすると、認可済みの SSO メンバー一覧を確認できます。
通知メカニズム¶
以下の操作により、ワークスペースの Owner および Administrator にメール通知が送信されます。
- SSO 設定の新規追加/有効化
- 主要設定（ドメイン、ロールマッピングルール）の変更
- SSO 設定の削除